Ricercatore anonimo rilascia decine di vulnerabilità 0-day: chi è il 'Robin Hood' della sicurezza informatica?

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...ca_155462.html

Zero-day a pioggia: un account GitHub anonimo ha iniziato a pubblicare una serie di exploit inediti, svelando vulnerabilità di alto profilo in software ampiamente utilizzati

Click sul link per visualizzare la notizia.

[Fantapollo]

Uno che sa usare l'IA per analizzare i sorgenti. Bravissimo

[supertigrotto]

Almeno avremo software più sicuro,chi si immaginava che c'erano così tante vulnerabilità?

[lumeruz]

il repository non esiste più e su femtose si parla di scam. "Exploitarium Repository: Fake Zero-Day Claims Expose Real"

[gabrieleromano]

mah, negli ultimi mesi già le aziende avevano scovato vulnerabilità tramite l'AI.

Se questa notizia fosse vera si aggiungerebbero altri buchi coperti alle miriade di falle già corrette ultimamente.

Non che sia improbabile che ci sia il robin hood di turno... anche se ho sempre sospettato che alcune aziende avessero tutto l'interesse a tenere dei buchi (diciamo back door) aperti per vari scopi più o meno ovvi...

[zappy]

Originariamente inviato da gabrieleromano

mah, negli ultimi mesi già le aziende avevano scovato vulnerabilità tramite l'AI.

Se questa notizia fosse vera si aggiungerebbero altri buchi coperti alle miriade di falle già corrette ultimamente.

Non che sia improbabile che ci sia il robin hood di turno... anche se ho sempre sospettato che alcune aziende avessero tutto l'interesse a tenere dei buchi (diciamo back door) aperti per vari scopi più o meno ovvi...

Intanto chiamarlo "robin hood" non ha alcun senso ed è del tutto inappropriato (AKA "non c'entra un cazzo").
Poi, si tratta di sw ovviamente open source (per il closed nulla si sa) ampiamente diffuso che sta alla base del mondo intero, per cui più che "aziende" chi ha interesse a infilarci dei buchi sono "agenzie"...

[marcram]

Con l'opensource sarà così, per qualche tempo: una marea di vecchie falle mai scoperte salteranno fuori tutte insieme. Chiuse quelle, ci si stabilizzerà sulle nuove.

Con il software chiuso, invece, il processo sarà continuo e nascosto...

[Darkon]

Gira voce che fosse tutto fake, fatto con IA e nemmeno vagamente verificato prima della pubblicazione.

Francamente ci andrei coi piedi di piombo ad associare un qualche eroismo a cose del genere.

Tra l'altro "ricercatore anonimo" cosa dovrebbe significare? Perché se è anonimo secondo me l'uso di ricercatore è fuori luogo dato che fa passare l'idea che sia un professionista o qualcuno che fa in parte o in tutto una professione legata alla sicurezza mentre se è anonimo ciò non può essere verificato e potrebbe benissimo essere un ragazzino che con l'aiuto dell'IA e senza verificare niente ha cercato 10 minuti di gloria.

[zappy]

Originariamente inviato da marcram

Con l'opensource sarà così, per qualche tempo: una marea di vecchie falle mai scoperte salteranno fuori tutte insieme. Chiuse quelle, ci si stabilizzerà sulle nuove.

Con il software chiuso, invece, il processo sarà continuo e nascosto...

Considerato che l'open è spessissimo incluso dentro prodotti closed (dentro i firmware di tv, router, box vari, auto, sistemi connessi di qualunque tipo), e che appena venduti sono abbandonati, la cosa è preoccupante.
Meglio oggetti totalmente open o non-connessi

[zappy]

Originariamente inviato da Darkon

Gira voce che fosse tutto fake, fatto con IA e nemmeno vagamente verificato prima della pubblicazione.

Francamente ci andrei coi piedi di piombo ad associare un qualche eroismo a cose del genere.

Infatti, parlare di robin hodd è una cazzata semantica enorme... sa di parole buttate a caso senza capire cosa significhino.

Sul fatto che sia un fake, e sulla ricerca di bug tramite LLM, c'è moltissimo hype (mythos di Antropic...) ma poi nel concreto qualche dubbio che sia tutto molto pompato per "tenere in piedi la bolla" leggendo certe conclusioni ti viene (spoiler: UN singolo bug su un progetto che è installato su 20 miliardi di apparati...)

[marcram]

Originariamente inviato da zappy

Considerato che l'open è spessissimo incluso dentro prodotti closed (dentro i firmware di tv, router, box vari, auto, sistemi connessi di qualunque tipo), e che appena venduti sono abbandonati, la cosa è preoccupante.
Meglio oggetti totalmente open o non-connessi

Assolutamente.
Ma la stessa cosa succede con software chiusi, e poi abbandonati.

La differenza è che, dopo un primo periodo in cui tutti questi bug vengono fuori in blocco, ci sarà una base solida e relativamente sicura su cui sviluppare.
Sicuramente un prodotto vecchio e non aggiornabile, ora, diventa più fonte di preoccupazione... Ma quelli futuri avranno software più affidabili rispetto a prima.

Ora, al netto che sia o no una fake, queste notizie hanno l'utilità di sensibilizzare sull'argomento, magari anche nei confronti di quelle aziende che "sfruttano" il software libero senza mai metterci un soldo dentro...